Amazon VPC エンドポイントを作成することで、インターネットへのアクセスを必要とせずに、Systems Manager を使用してプライベート Amazon EC2 インスタンスを管理できるようにする方法を教えてください。

解決策

インターネットにアクセスせずに EC2 インスタンスを管理するには、Systems Manager が AWS PrivateLink 上の VPC インターフェイスエンドポイントを使用するよう構成する必要があります。

Systems Manager 用の IAM インスタンスプロファイルを作成する

注: デフォルトのホスト管理設定を使用してインスタンスを管理する場合は、インスタンスを管理するために IAM インスタンスプロファイルを作成する必要はありません。

次の手順を実行します。

1. インスタンスに AWS Systems Manager Agent (SSM Agent) がインストール済みであることを確認します。
2. AWS Identity and Access Management (IAM) インスタンスプロファイルを作成し、必須権限を追加します。
   注: ロールを新たに作成するか、既存ロールに権限を追加します。
3. インスタンスに IAM ロールをアタッチします。
4. Amazon EC2 コンソールを開きます。
5. ナビゲーションペインで [インスタンス] を選択し、目的のインスタンスを選択します。
6. [説明] タブを選択し、後のステップで使用するために VPC ID とサブネット ID を書き留めます。

セキュリティグループを作成または変更する

セキュリティグループを 1 つ作成するか、インバウンドおよびアウトバウンドルールの既存セキュリティグループを変更します。セキュリティグループは、VPC エンドポイントへのアウトバウンドトラフィックをポート 443 で許可する必要があります。また、セキュリティグループは、サービスと通信する VPC 内のリソースからのインバウンド HTTPS (ポート 443) トラフィックを許可する必要があります。[インバウンドルール] の種類には、HTTPS を選択します。[ソース] で VPC の CIDR ブロックを選択します。詳細設定では、VPC 内の特定のサブネットの CIDR、またはインスタンスが使用するセキュリティグループを許可します。

セキュリティグループをインスタンスに追加します。次に、セキュリティグループを VPC エンドポイントに関連付けます。詳細については、「さまざまなユースケーにおけるセキュリティグループのルール」を参照してください。

Systems Manager 用の VPC エンドポイントを作成し、構成する

注: VPC エンドポイントは、特定のサブネットにマッピングされます。VPC エンドポイントの作成時に複数のサブネットを選択した場合、Amazon VPC は、選択したサブネットごとに 1 つのエンドポイントを作成します。エンドポイントごとに料金が発生します。

次の手順を実行します。

1. VPC エンドポイントを作成します。
2. [サービス名] で com.amazonaws.[region].ssm を選択します。**注:](https://docs.aws.amazon.com/global-infrastructure/latest/regions/aws-regions.html#available-regions) AWS リージョンコードのリストについては、「**利用可能な AWS リージョン[」を参照してください。
3. [VPC] でインスタンスの VPC を選択します。
   注: その他の設定では、デフォルトオプションである [DNS 名有効] を維持します。
4. [サブネット] では、同一リージョン内の別々のアベイラビリティーゾーンから、VPC 内のサブネットを 2 つ以上選択します。
   注: 同じアベイラビリティーゾーンに複数のサブネットが存在する場合、追加のサブネット用に VPC エンドポイントを作成する必要はありません。同じアベイラビリティーゾーン内の他のサブネットは、インターフェイスエンドポイントにアクセスして使用することができます。
5. [セキュリティグループ] で目的のセキュリティグループを選択します。
6. (オプション) 詳細設定を行うには、Systems Manager 用のインターフェイス VPC エンドポイントポリシーを作成します。
   注: VPC エンドポイントには、AWS Provided DNS (VPC CIDR+2) が必要です。カスタム DNS を使用する場合は、名前解決を正確に行うために Amazon Route 53 Resolver を使用します。
7. [エンドポイントを作成] を選択します。

この手順を繰り返し、com.amazonaws.[region].ssmmessages と com.amazonaws.[region].ec2messages 用のエンドポイントを作成します。

SSM Agent バージョン 3.3.40.0 以降では、Systems Manager は、ec2messages:* エンドポイントの代替として ssmmessages:* エンドポイントが使用可能な場合は、後者を使用します。詳細については、「エージェントに関連する API操作 (ssmmessages と ec2messages エンドポイント)」の「エンドポイント接続の優先順位」セクションを参照してください。

注: 構成の完了後、インスタンスがマネージドインスタンスとして登録されるまでに数分かかる場合があります。SSM Agent を即時接続するには、インスタンスで SSM Agent を再起動するか、インスタンスを再起動します。

インスタンスがマネージドインスタンスであることを確認するには、次の手順を実行します。

1. Systems Manager コンソールを開きます。
2. ナビゲーションペインで [フリートマネージャー] を選択します。
3. インスタンス ID が [ノード ID] に表示されており、そのノードが Running 状態であることを確認します。

詳細については、「Amazon EC2 インスタンスが、Systems Manager でマネージドインスタンスとして表示されない原因を教えてください」を参照してください。

デフォルトのセッションプリファレンスを使用しない場合は、AWS Systems Manager の機能である Session Manager を使用するために、次の VPC エンドポイントを作成します。

• Systems Manager の機能である Run Command で Amazon Simple Storage Service (Amazon S3) ログ機能を使用する場合は、ゲートウェイエンドポイント com.amazonaws.region.s3 を作成します。
• Session Manager で AWS Key Management Service (AWS KMS) 暗号化を使用する場合は、com.amazonaws.region.kms エンドポイントを作成します。
• Run Command で Amazon CloudWatch Logs を使用する場合は、お使いのリージョン用のサービスエンドポイントを作成します。

インスタンスを Session Manager に接続するには、VPC エンドポイントは必須ではありません。ただし、VPC エンドポイントは、Windows Volume Shadow Copy Service (VSS) ベースのスナップショットを作成する場合に必要です。

関連情報

AWS Systems Manager endpoints and quotas

AWS Systems Manager を設定する